Шесть типов атак на Linux-устройства, о которых организациям следует знать

Linux-устройства (конечные точки, серверы, IoT) являются очень привлекательной целью для хакеров, однако в настоящее время их защита оставляет желать лучшего.

«Вредоносное ПО для Linux слишком недооценивается. Поскольку большинство облачных хостов работают под управлением Linux, возможность скомпрометировать платформы на базе Linux позволяет злоумышленникам получать доступ к огромному количеству ресурсов или причинять серьезный ущерб с помощью вымогательского ПО и вайперов», - сообщил CSOonline старший директор по сбору донных об угрозах компании VMware Джованни Винья (Giovanni Vigna).

Ниже представлены шесть типов атак на Linux-устройства, о которых организациям следует знать.

Атаки вымогательского ПО на образы виртуальных машин

В последние несколько лет операторы вымогательского ПО стали чаще обращать внимание на среды Linux, в том числе такие нашумевшие группировки, как Conti, DarkSide, REvil и Hive.

Как правило, атаки вымогательского ПО на облачные среды тщательно планируются. По данным VMware, прежде чем шифровать файлы, киберпреступники стараются полностью скомпрометировать атакуемую сеть.

Недавно группы наподобие RansomExx/Defray777 и Conti начали атаковать образы хостов Linux, использующиеся для рабочих нагрузок в виртуализированных средах. В особенности их интересует шифрование образов виртуальных машин на гипервизорах ESXi, поскольку они могут существенно повлиять на их операции.

Криптоджекинг

Криптоджекинг (взлом систем с целью использования их ресурсов для майнинга криптовалюты) является одним из самых распространенных видов кибератак на Linux-системы, поскольку позволяет быстро получить прибыль. Наиболее часто используемыми семействами вредоносного ПО для майнинга являются XMRig и Sysrv. По данным SonicWall, на сеть одного клиента приходится в среднем 338 попыток криптоджекинга.

В атаках хакеры часто используют списки паролей по умолчанию, bash-эксплоиты или эксплоиты, специально предназначенные для атак на системы с неправильными конфигурациями (обход каталога, удаленное включение файлов, неправильно сконфигурированные процессы с заводскими установками и пр.).

Атаки на IoT-устройства с использованием вредоносного ПО XorDDoS, Mirai и Mozi

Простота IoT-устройств под управлением Linux, за несколькими исключениями, делают их привлекательной мишенью для хакеров. По данным ИБ-компании CrowdStrike, в 2021 году число вредоносных программ, атакующих устройства под управлением Linux, увечилось на 35% по сравнению с 2020 годом. 22% атак приходятся на вредоносное ПО XorDDoS, Mirai и Mozi. Они заражают устройства и делают их частью ботнета для осуществления DDoS-атак.

Согласно отчету Global Threat Landscape Report ИБ-компании Fortinet, активность наиболее успешных ботнетов остается неизменной с течением времени. Специалисты компании обнаружили, что авторы вредоносного ПО прилагают много усилий, чтобы сделать свои творения устойчивыми к перезагрузке устройств.

Атаки хакерских группировок, финансируемых правительствами

Специалисты, отслеживающие деятельность так называемых правительственных хакеров, также фиксируют увеличение количества атак на среды Linux. Рост числа атак совпал с российско-украинским конфликтом, сообщил исследователь компании Intezer Райан Робинсон (Ryan Robinson). Как сообщает ИБ-компания Cyfirma, за несколько дней до введения РФ своих войск на территорию Украины российская APT-группа Sandworm предположительно атаковала Linux-системы в Великобритании и США.

Специалисты Microsoft и Mandiant обратили внимание на то, что многие группировки, работающие на правительства Китая, Ирана и Северной Кореи, эксплуатируют нашумевшую уязвимость в утилите журналирования Log4j для атак на Windows- и Linux-системы с целью получения доступа к атакуемым сетям.

Бесфайловые атаки

Исследователи безопасности из Alien Labs компании AT&T обнаружили , что многие киберпреступные группировки, в том числе TeamTNT, начали использовать для шифрования вредоносного кода Ezuri – инструмент с открытым исходным кодом, написанный на Golang. При расшифровке полезная нагрузка выполняется непосредственно из памяти, не оставляя следов на диске, что затрудняет обнаружение таких атак антивирусным программным обеспечением.

TeamTNT чаще всего атакует системы Docker с некорректными конфигурациями с целью установки DDoS-ботов и криптомайнеров.

Атаки вредоносного ПО для Linux на Windows-машины

Вредоносное ПО для Linux также может атаковать Windows-машины через Windows Subsystem для Linux (WSL) – функцию, позволяющую файлам для Linux запускаться на ОС Windows. WSL должна устанавливаться вручную или через программу Windows Insider, но злоумышленники могут устанавливать ее сами, если им удалось повысить свои привилегии на атакуемой системе.